胡月亭高級(jí)工程師

（中國(guó)石油質(zhì)量安全環(huán)保部，北京 100007）

0 引言

雖然奶酪模型、能量意外釋放論廣為業(yè)界所認(rèn)可，但在實(shí)際應(yīng)用過(guò)程中，也出現(xiàn)了一些問(wèn)題，如，奶酪模型有關(guān)“任何屏障都有缺陷（漏洞）”觀念，已給日常風(fēng)險(xiǎn)防控工作帶來(lái)不重視屏障質(zhì)量的負(fù)面影響，此外，奶酪模型主要是對(duì)人不安全行為的防范，對(duì)事故致因的解釋采用了比喻方式，也沒(méi)有對(duì)模型中屏障給出明確定義，且模型中的Hazard存在定義寬泛?jiǎn)栴}等[1-7]。另外，能量意外釋放論雖然抓住了事故致因的核心——能量，但并沒(méi)有對(duì)能量為什么會(huì)意外釋放，給出科學(xué)、合理的解釋，所有這些都影響著其作用的發(fā)揮。

本文基于事故防控工作實(shí)踐以及相關(guān)理論，通過(guò)對(duì)奶酪模型、能量意外釋放論的深入分析研究，在二者基礎(chǔ)之上，構(gòu)建了一種新型、實(shí)用的屏障模型，企圖解決上述問(wèn)題，以期更好地服務(wù)于事故防控與原因分析等工作。

1 問(wèn)題分析

1.1 能量意外釋放論問(wèn)題分析

如前所述，能量意外釋放論只是認(rèn)為非需能量的意外釋放，是導(dǎo)致事故發(fā)生的根本原因，但能量為什么會(huì)意外釋放，能量意外釋放論并沒(méi)有給出科學(xué)、合理的解釋。對(duì)于能量意外釋放的原因，奶酪模型做出了合乎情理的解釋。該理論認(rèn)為，任何防范屏障都像瑞士奶酪片一樣存在孔洞，每層奶酪片上孔洞的尺寸和位置隨時(shí)間而變動(dòng)，當(dāng)所有屏障上的孔洞都位于一條直線上時(shí)，就形成了通路，能量或有害物質(zhì)就會(huì)像光線一樣穿透所有屏障而被意外釋放，從而導(dǎo)致事故發(fā)生[1]。

1.2 奶酪模型問(wèn)題分析

奶酪模型雖然對(duì)能量為何會(huì)意外釋放給出了合乎情理的解釋，但其自身也存在一些問(wèn)題，下面就奶酪模型存在的幾個(gè)主要問(wèn)題進(jìn)行分析。

1.2.1 奶酪模型中Hazard問(wèn)題分析

在奶酪模型中，類似“奶酪片”屏障防護(hù)的是Hazard（危險(xiǎn)源），而國(guó)內(nèi)外相關(guān)標(biāo)準(zhǔn)都對(duì)Hazard給出了一致的定義：可能導(dǎo)致人身傷害和（或）健康損害的根源、狀態(tài)或行為，或其組合[8-9]。根據(jù)兩類危險(xiǎn)源理論，這里的“根源”即能量或有害物質(zhì)，是需要防控的事故“元兇”，而“狀態(tài)或行為”則是導(dǎo)致約束、限制能量措施失效或破壞的不安全因素，也即防控屏障上的漏洞。由于Hazard中“根源”與“狀態(tài)或行為”的性質(zhì)完全不同，需要防控的是能量或有害物質(zhì)，而不是Hazard，因?yàn)樗耐庋犹^(guò)寬泛。

1.2.2 奶酪模型屏障類型問(wèn)題分析

瑞森教授構(gòu)建的奶酪模型共有3個(gè)版本，分別為MarkΙ、MarkП與MarkШ[1]，如圖1。在MarkΙ中，高層決策問(wèn)題、直線組織管理缺陷、不安全行為的前提條件以及不安全行為等因素，影響著屏障的性能，導(dǎo)致屏障上出現(xiàn)了能量泄露的通道——漏洞，如圖1左。在MarkП中，屏障影響因素由MarkΙ中的4個(gè)演變成了3個(gè)，即，組織、工作場(chǎng)所和人員，其中，組織又包括企業(yè)文化、組織過(guò)程及管理決策。同時(shí)，屏障的數(shù)量由MarkΙ中的一個(gè)變成了3個(gè)，出現(xiàn)了奶酪模型的雛形，如圖1中。在MarkШ中，屏障影響因素與MarkП基本相同，只是把位于“尖端”的“人員”又換成了MarkΙ中的“不安全行為”。另外，在該版本中，把屏障影響因素由屏障一側(cè)移到了屏障的下方，在該位置增加了Hazard，形成了由Hazard、防控屏障以及（事故）損失3個(gè)事故模型基本要素所構(gòu)成的奶酪模型常見(jiàn)樣式，如圖1右，至于其中的防控屏障究竟是什么，3個(gè)版本均沒(méi)有給出明確的說(shuō)明。

圖1 奶酪模型的三個(gè)版本Fig.1 The markI-Ш of the cheese model

正因?yàn)樵谀汤夷Ｐ蜎](méi)有給出有關(guān)防控屏障的明確定義，致使人們對(duì)奶酪模型中的屏障理解，與客觀現(xiàn)實(shí)有出入，也與瑞森教授所構(gòu)建的奶酪模型未必一致。目前，國(guó)內(nèi)外對(duì)奶酪模型的理解，傾向于把所有對(duì)能量起防控作用的因素都作為奶酪模型中的防控屏障，如，美國(guó)CCPS出版物以及我們國(guó)內(nèi)的教科書(shū)有關(guān)奶酪模型的描述都是如此[10]，如圖2。

圖2 CCPS出版物中的奶酪模型Fig.2 The cheese model in CCPS publishing

鑒于防控屏障的定義比較寬泛，把所有對(duì)能量防控起作用的因素都作為防控屏障并無(wú)不妥[11]，組織的各個(gè)層面都有防止能量失控的屏障[1,5]。但問(wèn)題是，不同層面的防控屏障在防控能量過(guò)程中的地位與作用并不相同，因此，把它們混放在同一層面上未必合理。單就奶酪模型而言，其中的屏障應(yīng)是瑞森教授所指的“尖端”。一是因?yàn)椤凹舛恕碧幱谀芰糠揽氐淖钋把兀舛耍鹬苯臃乐鼓芰渴Э氐淖饔?；二是由于它位于瑞森教授所羅列屏障的“尖端”，受其后“組織”、“工作場(chǎng)所”等屏障的影響[1]（MarkП&Ш）。雖然在奶酪模型的3個(gè)版本中，“尖端”位置的因素有的是“人員”（MarkП），有的是“不安全行為”（MarkΙ&Ш），但實(shí)質(zhì)上就是“人員”，也即直接接觸能量或有害物質(zhì)的一線員工，他們就是防止能量失控的直接屏障，而“不安全行為”則是“人員”屏障上的漏洞，也可理解為“人員”屏障的反面（對(duì)立面）[12]，它是導(dǎo)致事故發(fā)生的直接原因。

鑒于除人的不安全行為之外，物的不安全狀態(tài)也是導(dǎo)致事故發(fā)生的直接原因，因此，作為“物不安全狀態(tài)”反面（對(duì)立面）的硬件設(shè)備設(shè)施，也應(yīng)是直接防控能量失控的屏障，但由于瑞森教授是心理學(xué)家，主要關(guān)注人而未研究物對(duì)能量防控的影響[2]?？傊?，通過(guò)上述分析可知，直接防止能量失控的屏障，應(yīng)為人員屏障與硬件屏障[3]，其余的應(yīng)作為直接屏障的影響因素——間接屏障。

誠(chéng)如前述，實(shí)際工作中，直接防護(hù)能量或有害物質(zhì)的屏障只有“硬件屏障”與“人員屏障”兩種類型。在硬件屏障中，既包括硬件設(shè)備、設(shè)施、工器具，當(dāng)然也包括安全附件等，因?yàn)樗鼈兓蚴悄芰枯d體（如飛行的飛機(jī)）或作為能量或有害物質(zhì)的容器（如高壓儲(chǔ)罐、管道）等，直接與能量或有害物質(zhì)接觸；在人員屏障中，主要指一線崗位員工（如飛行員），他們工作在生產(chǎn)經(jīng)營(yíng)一線，直接接觸或通過(guò)硬件接觸能量或有害物質(zhì)?？傊麄儯ㄋ鼈儯?duì)能量或有害物質(zhì)都起著直接的防控作用，故稱直接防控屏障，簡(jiǎn)稱直接屏障。

所謂直接屏障就是直接作用于能量或有害物質(zhì)防護(hù)的屏障，也即出現(xiàn)在模型中的屏障，相反，間接屏障則是只能通過(guò)直接屏障而發(fā)揮作用，或者對(duì)直接屏障產(chǎn)生影響的屏障，因此，間接屏障可稱為直接屏障的影響因素或者屏障影響因素，由于其作用已通過(guò)直接屏障表現(xiàn)出來(lái)，故應(yīng)隱藏在直接屏障背后，不能再與直接屏障一起出現(xiàn)在模型中。

相對(duì)于人員、硬件之類的直接屏障，其影響因素“組織”、“工作場(chǎng)所”，或直線組織的監(jiān)管、高層的決策乃至其組織的（安全）文化，或者其執(zhí)行（責(zé)任）人、主導(dǎo)者——組織的高層領(lǐng)導(dǎo)、直線管理人員等相關(guān)人員，雖然他們對(duì)于能量或有害物質(zhì)的防控至關(guān)重要[1]，但他們并不直接與能量或有害物質(zhì)相接觸，而是通過(guò)人員、硬件屏障發(fā)揮作用[3]，因此，它們就屬于間接屏障。由于間接屏障的作用已通過(guò)直接屏障表現(xiàn)出來(lái)，如果對(duì)二者不加區(qū)分而混淆一起，放到同一個(gè)層面上，就會(huì)造成相互重疊、重復(fù)計(jì)數(shù)，既不科學(xué)合理，也不符合實(shí)際，更不利于現(xiàn)實(shí)工作中的事故預(yù)防，如殼牌公司就要求對(duì)高風(fēng)險(xiǎn)的防控至少設(shè)置3層以上的屏障[12]，這些屏障就必須是直接屏障。

1.2.3 奶酪模型屏障性質(zhì)問(wèn)題分析

如前所述，雖然奶酪模型能對(duì)能量意外釋放的原因做出合理的解釋，但其文學(xué)式比喻形式不適于對(duì)科學(xué)模型的解釋[1,4]，更何況“任何屏障都像奶酪存在缺陷（漏洞）”觀念，已經(jīng)造成了不重視風(fēng)險(xiǎn)防控措施質(zhì)量的不良影響。

Dekker[6]以及Shappell & Wiegmann[7]等對(duì)此類問(wèn)題提出具有代表性的質(zhì)疑：屏障上為什么會(huì)有孔洞？屏障上的孔洞究竟是什么？為什么孔洞的尺寸、位置會(huì)隨時(shí)間而發(fā)生變化？為什么當(dāng)所有屏障上的孔洞在一條直線上就意味著發(fā)生了事故？等等。

實(shí)際上，現(xiàn)實(shí)工作中的事故防控屏障的不完善是客觀現(xiàn)實(shí)，并不難理解，未必一定要假設(shè)為帶有孔洞的奶酪片。因?yàn)槿魏问挛锒加衅渥陨淼谋∪踔帲?，鋼鐵雖堅(jiān)固但會(huì)被腐蝕，玻璃雖硬但易碎，橡膠柔韌但易老化等，再如，采用螺栓固定會(huì)出現(xiàn)螺母松動(dòng)、脫落，等等，是物都有可能會(huì)因其自身特質(zhì)缺陷而出現(xiàn)不安全狀態(tài)；同理，由于人是具有主觀能動(dòng)性的高等動(dòng)物，是人都可能會(huì)出現(xiàn)不安全行為?？傊?，無(wú)論人或物都有自身缺陷，它是由人與物自身的本質(zhì)特征所決定，這種人員與硬件屏障自身具有的特質(zhì)缺陷被稱為潛在型危害因素[13]，它是一種客觀存在。

正是由于人員與硬件屏障都有其特質(zhì)缺陷，為防止因此出現(xiàn)問(wèn)題，就應(yīng)針對(duì)其特質(zhì)缺陷，采取相應(yīng)的預(yù)防措施，使這種缺陷始終處于潛在狀態(tài)，如，通過(guò)強(qiáng)化對(duì)員工教育培訓(xùn)與監(jiān)督，防止人的不安全行為，做好對(duì)鋼鐵殼體防腐工作，橡膠制品則在其將要老化前及時(shí)更換……總之，雖然所有屏障都有失效（出現(xiàn)不安全行為或不安全狀態(tài)）的可能性，但由于預(yù)防工作得力、到位，實(shí)際上并沒(méi)有出現(xiàn)不安全行為或狀態(tài)，使得這種特質(zhì)缺陷始終處于潛在狀態(tài)，屏障就能夠有效發(fā)揮作用，這種狀態(tài)在屏障模型圖中以虛線孔洞示意，如圖3左。相反，如果預(yù)防工作不得力、不到位，如橡膠制品已經(jīng)老化仍未更換，螺栓出現(xiàn)了螺母松動(dòng)、脫落，人員出現(xiàn)了違規(guī)行為，等等, 使得這種特質(zhì)缺陷由潛在變成了現(xiàn)實(shí)，這時(shí)的屏障也就失去了應(yīng)有的防控作用，這種狀態(tài)在屏障模型圖中以實(shí)線孔洞示意，如圖3中。潛在型危害因素失控就成為了現(xiàn)實(shí)型危害因素[13]，現(xiàn)實(shí)型危害因素就是我們所謂的隱患。

對(duì)于硬件屏障而言，屏障一旦失去作用，這種狀態(tài)會(huì)一直持續(xù)下去，除非采取了相應(yīng)措施，如進(jìn)行了修復(fù)或更換，如圖3右，否則就不會(huì)再發(fā)揮作用。由于出現(xiàn)問(wèn)題的屏障被修復(fù)或更換之后，缺陷重新回到了潛在狀態(tài)，因此，圖中左右兩個(gè)屏障是等效的，如圖3。相反，人員屏障會(huì)出現(xiàn)時(shí)而起作用時(shí)而不起作用情況，因?yàn)槿藛T屏障當(dāng)事人的安全行為（遵章守紀(jì)）與不安全行為（違規(guī)亂紀(jì)）易于變換，相對(duì)于硬件屏障，具有易變性。

圖3 模型中不同狀況的屏障示意圖Fig.3 Barrier diagram of different conditions in the model

總之，屏障能否發(fā)揮作用，主要取決于其自身特質(zhì)缺陷問(wèn)題，但也不排除還有其它方面的原因，因此，做好屏障維護(hù)工作，應(yīng)重點(diǎn)做好對(duì)屏障本質(zhì)缺陷的維護(hù)與預(yù)防，在此基礎(chǔ)上，還有根據(jù)具體實(shí)際，考慮其他可能出現(xiàn)的情況。

2 模型構(gòu)建

基于上述分析，根據(jù)兩類危險(xiǎn)源理論，在能量意外釋放論、奶酪模型基礎(chǔ)之上，構(gòu)建了一種新型的事故防控模型。該模型在結(jié)構(gòu)形式上類似于奶酪模型，也具有3個(gè)要素：能量或有害物質(zhì)、防控屏障以及失控所造成的事故（注：圖4為未失控情形，故無(wú)事故）。但在組成成分上，其與奶酪模型又有著很大的不同。首先，在防控屏障類型方面，一方面，防控屏障只有直接屏障,間接屏障作為直接屏障背后的支撐，并不出現(xiàn)在本模型之中，解決了直接屏障與間接屏障之間的混淆問(wèn)題；另一方面，直接屏障既有人員屏障也有硬件屏障，彌補(bǔ)了奶酪模型中缺乏對(duì)物的不安全狀態(tài)防控的缺陷。其次，在防控屏障性質(zhì)方面，防控屏障雖有出現(xiàn)漏洞的可能，但所設(shè)置的防控屏障不應(yīng)有漏洞，因?yàn)橐坏┏霈F(xiàn)了漏洞就起不到應(yīng)有的防控作用，而非像奶酪模型所示的那樣所有屏障都有漏洞。另外，在該模型中，把導(dǎo)致事故發(fā)生的致因物定義為能量或有害物質(zhì)，而非Hazard，這既符合能量意外釋放論原理，也解決了原奶酪模型中Hazard外延過(guò)于寬泛的問(wèn)題。

圖4 新型的事故致因模型Fig.4 The new accident-causation model

本模型中的屏障并不喻作帶有孔洞的奶酪片，而是現(xiàn)實(shí)屏障的示意圖片，對(duì)事故致因的解釋不像奶酪模型那樣，“屏障上孔洞的尺寸、位置會(huì)隨時(shí)間而發(fā)生變化，當(dāng)所有屏障上的孔洞在一條直線上就意味著事故的發(fā)生”，而是因?yàn)閷?duì)能量或有害物質(zhì)的防控一般都具有多重屏障，只要其中任何一個(gè)屏障能夠發(fā)揮作用，就能夠確保能量或有害物質(zhì)的受控，只有所有屏障都失去了作用，事故才可能發(fā)生，如圖4，因此，本模型既強(qiáng)調(diào)屏障數(shù)量又注重屏障質(zhì)量。

3 模型釋義及其功用

3.1 模型釋義

本文把防控屏障分為直接與間接屏障兩類。在該模型中，防控能量或有害物質(zhì)意外釋放的防控屏障只有直接屏障，但直接屏障能否發(fā)揮作用取決于間接屏障[3]，因此，在分析研究直接屏障時(shí)必須聯(lián)系間接屏障。這樣，一則避免了把直接屏障與間接屏障混為一談，解決了直接屏障與間接屏障間的數(shù)量重復(fù)、功能重疊問(wèn)題；二則使得直接屏障與間接屏障間層次分明、邏輯清晰，在直接屏障的基礎(chǔ)上，分析研究間接屏障，能夠追本溯源，形成環(huán)環(huán)相扣的因果關(guān)系鏈條，尤其有利于事故原因的追溯分析[14]。更重要的是，這符合客觀實(shí)際情況，因?yàn)闊o(wú)論是LOPA、Bow-Tie等風(fēng)險(xiǎn)管理工具方法中的防控屏障，還是實(shí)際工作中的各種風(fēng)險(xiǎn)防控措施（屏障），直接與能量或有害物質(zhì)接觸而發(fā)揮防控作用的，就是人員、硬件屏障兩種類型[11-12，14]，其它類型的屏障（措施）并不直接作用于能量或有害物質(zhì)的防控。

（1）在人員屏障方面。人員屏障主要通過(guò)人們對(duì)規(guī)程、措施等的執(zhí)行，產(chǎn)生正確規(guī)范的動(dòng)作行為而發(fā)揮作用。這里的人員并不以藍(lán)領(lǐng)、白領(lǐng)區(qū)分，而是看是否從事一線崗位工作，如工廠的操作、檢維修人員，醫(yī)院的醫(yī)生、護(hù)士以及飛行員、駕駛員等，就是充當(dāng)人員屏障的一線崗位員工。當(dāng)然，當(dāng)管理（決策）人員從事一線員工業(yè)務(wù)時(shí)，也將被視為一線員工，如醫(yī)院院長(zhǎng)主刀做手術(shù)時(shí)，就是在作為一線崗位員工——主刀醫(yī)生而發(fā)揮作用，而不是在行使醫(yī)院院長(zhǎng)的管理（決策）職能。

（2）在硬件屏障方面。硬件屏障主要通過(guò)硬件的完好性而確保其有效發(fā)揮作用。硬件既包括設(shè)備、設(shè)施、工器具，也包括安全附件等，安全附件只有安全防護(hù)功能，而設(shè)備、設(shè)施、工器具等，與人員屏障一樣，一般都具有實(shí)用與安全兩個(gè)方面的功能，如壓力容器，既起到容納高壓物質(zhì)的容器作用，也起到防止其泄露的安全防護(hù)功能。有些硬件屏障能夠單獨(dú)發(fā)揮作用，有些硬件屏障則需與人員屏障一起才能起作用。

（3）關(guān)于間接屏障。雖然組織的管理與監(jiān)督等間接屏障在風(fēng)險(xiǎn)防控中發(fā)揮著極其重要的作用，但它們并不直接作用于能量或有害物質(zhì)，而是通過(guò)一線員工或硬件設(shè)備設(shè)施而發(fā)揮作用。如，在人員屏障方面，通過(guò)組織管理，選擇合適的崗位員工，并進(jìn)行有效的培訓(xùn)，使其能夠勝任本崗位工作，再加上組織的監(jiān)督，確保其正確履職，就能夠使人員屏障的作用得以有效發(fā)揮；在硬件屏障方面同樣也是如此，通過(guò)組織管理，首先組織相關(guān)人員做好硬件的設(shè)計(jì)、建造與安裝等方面的工作，在此基礎(chǔ)上，再組織做好對(duì)硬件運(yùn)行期間的檢查、維護(hù)工作，使其功能正常發(fā)揮，就能夠確保硬件屏障有效發(fā)揮作用。

當(dāng)然，如果組織監(jiān)管不力，人員、硬件屏障就會(huì)出現(xiàn)問(wèn)題，如，選人用人不合適，或培訓(xùn)不到位等，就會(huì)在工作中出現(xiàn)不當(dāng)操作，這就是人的不安全行為，表現(xiàn)為人員屏障上的漏洞；在硬件方面，如果設(shè)計(jì)、建造或安裝等方面存在問(wèn)題，或者檢查、維護(hù)工作不到位等，硬件就會(huì)出現(xiàn)問(wèn)題，這就是物的不安全狀態(tài)，表現(xiàn)為硬件屏障上的漏洞。另外，如果再進(jìn)一步追溯造成組織監(jiān)管不力的深層次問(wèn)題，不難發(fā)現(xiàn)一定是不良安全文化在作祟[13，15]，鑒于篇幅所限，本文對(duì)此不再作深入分析。

總之，人員、硬件屏障是直接與能量或有害物質(zhì)接觸的第一層級(jí)防控屏障，組織監(jiān)管則是通過(guò)人員、硬件屏障才能發(fā)揮作用的第二層級(jí)防控屏障，組織的安全文化是整個(gè)組織的安全價(jià)值觀，既可以通過(guò)組織監(jiān)管，再作用于人員、硬件屏障而發(fā)揮作用，也能夠直接作用于人員屏障而發(fā)揮作用，它屬于第三層級(jí)防控屏障。雖然這些屏障都能夠起到事故防控作用，但它們并不在一個(gè)層面上，而是分別位于3個(gè)不同的層級(jí)，其中，第一層級(jí)的防控屏障為直接屏障，第二、三層級(jí)的防控屏障為間接屏障，間接屏障通過(guò)直接屏障發(fā)揮作用，如圖5。

3.2 實(shí)例印證

本部分僅就本模型中最為關(guān)鍵的直接、間接屏障問(wèn)題進(jìn)行實(shí)例印證。

石油石化行業(yè)是典型的高風(fēng)險(xiǎn)行業(yè)，目前普遍采用防控屏障概念，其中，殼牌公司是全球蝴蝶結(jié)模型（屏障防控）應(yīng)用時(shí)間最長(zhǎng)、效果最好的一家公司。殼牌公司規(guī)定，在對(duì)高風(fēng)險(xiǎn)進(jìn)行防控時(shí)，至少要設(shè)置3個(gè)以上的屏障。當(dāng)然，這些屏障只能是像物理保護(hù)、安全儀表系統(tǒng)等硬件屏障，或者如人員遵章守紀(jì)操作、巡檢與應(yīng)急等人員屏障，總之，屏障都應(yīng)是人員或硬件組成的直接屏障，而像管理體系（組織監(jiān)管）、安全文化之類的間接屏障，作為對(duì)人員、硬件屏障的背后支撐，如圖6，已通過(guò)直接屏障發(fā)揮了作用，不能再作為獨(dú)立的屏障計(jì)入其中[3,12]，否則，就會(huì)造成重復(fù)計(jì)數(shù)。圖6已在OGP[3]等國(guó)際機(jī)構(gòu)以及殼牌公司、道達(dá)爾公司[16]等國(guó)際石油公司廣泛應(yīng)用。

圖5 本模型的事故防控機(jī)理分析Fig.5 The theory of accident-prevention of the model

圖6 蝴蝶結(jié)模型示意圖Fig.6 The Bow-tie model

3.3 模型功用

本模型結(jié)構(gòu)簡(jiǎn)單、層次清晰，在事故原因分析與事故預(yù)防方面，都具有獨(dú)特的優(yōu)勢(shì)。

3.3.1 用于事故原因分析

通過(guò)本模型，能夠科學(xué)地分析導(dǎo)致事故發(fā)生的致因物、直接原因、間接原因以及深層次原因，如圖7。

圖7 事故原因分析Fig.7 The analysis of the causation of accidents

（1）事故的發(fā)生是出現(xiàn)了某種能量或有害物質(zhì)的失控，因?yàn)樗鼈兪鞘鹿拾l(fā)生的根源所在。分析是沒(méi)有辨識(shí)出該種能量或有害物質(zhì)而造成屏障缺失，還是對(duì)其設(shè)置的防控屏障出現(xiàn)了問(wèn)題。

（2）如果是防控屏障的問(wèn)題，應(yīng)對(duì)防控屏障作進(jìn)一步分析。通過(guò)分析查找出事故發(fā)生的直接原因，人員屏障漏洞（人的不安全行為）問(wèn)題，還是硬件屏障漏洞（物的不安全狀態(tài)）問(wèn)題，從而采取有的放矢的應(yīng)對(duì)措施，防控此類事故的再次發(fā)生。

（3）之所以出現(xiàn)人員屏障或硬件屏障的問(wèn)題，其背后的原因是一定是因?yàn)橹本€責(zé)任組織在安全監(jiān)督管理方面存在這樣或那樣的問(wèn)題，在此基礎(chǔ)上，進(jìn)行有的放矢的整改。它是導(dǎo)致此類事故發(fā)生的間接原因或管理原因。

（4）直線責(zé)任組織之所以在安全監(jiān)督管理方面出現(xiàn)問(wèn)題，其根源就在于不良的安全文化，由于安全文化不良，使其不能夠真正重視安全生產(chǎn)工作，存在著得過(guò)且過(guò)的僥幸心理等。

3.3.2 用于事故預(yù)防

（1）由該模型可知，能量或有害物質(zhì)是導(dǎo)致所有事故發(fā)生的“元兇”，因此，為防止事故的發(fā)生，必須首先把可能導(dǎo)致事故發(fā)生的能量或有害物質(zhì)找出來(lái)，這樣才能夠根據(jù)所要防控的能量或有害物質(zhì)的性質(zhì)，有的放矢地設(shè)置相應(yīng)的防控屏障予以防控。

（2）由于任何防控屏障都有因其本質(zhì)特征所固有的缺陷，由于這種缺陷的存在，如果預(yù)防工作不到位，就會(huì)產(chǎn)生不安全的狀態(tài)（行為），從而使防控屏障喪失正常的防控作用，因此，要使所設(shè)置的屏障有效發(fā)揮屏蔽作用，還必須查找出其上可能的漏洞、缺陷，然后采取針對(duì)性措施進(jìn)行補(bǔ)救、完善，從而使防控屏障真正發(fā)揮應(yīng)有作用。為此，應(yīng)在風(fēng)險(xiǎn)管理策劃階段，也即在屏障出臺(tái)后、實(shí)施前，通過(guò)對(duì)防控屏障的評(píng)審[13]，辨識(shí)其上的缺陷、漏洞，以進(jìn)一步提升屏障質(zhì)量，從而使其真正發(fā)揮防控作用。

總之，基于該模型分析，為做好事故預(yù)防工作，應(yīng)在防控屏障出臺(tái)后、實(shí)施前，對(duì)其進(jìn)行評(píng)審，辨識(shí)其上的缺陷、漏洞，再進(jìn)行修改、完善，從而使屏障發(fā)揮應(yīng)有的作用，這樣既提升了風(fēng)險(xiǎn)防控效果，也從源頭上鏟除了隱患產(chǎn)生的根源，這些都是事故防控領(lǐng)域亟待解決的突出問(wèn)題[13]，也是該模型在事故預(yù)防方面的貢獻(xiàn)。另外，在宏觀策略層面，要做到長(zhǎng)治久安，應(yīng)通過(guò)培育企業(yè)良好安全文化，促進(jìn)組織監(jiān)管，進(jìn)而促使人員、硬件屏障更好發(fā)揮作用，使能量、有害物質(zhì)始終受控，從而杜絕事故發(fā)生。

4 案例分析

4.1 事故經(jīng)過(guò)

某工地項(xiàng)目經(jīng)理（現(xiàn)場(chǎng)主要領(lǐng)導(dǎo)）向泥工班長(zhǎng)交代了比往常多一倍的工作任務(wù)，澆筑樓房第16-10層的建筑導(dǎo)墻，但未交待安全注意事項(xiàng)。隨后，班長(zhǎng)帶領(lǐng)一隊(duì)工人在16層處實(shí)施16-10層建筑導(dǎo)墻的澆筑。為了節(jié)省時(shí)間、完成超過(guò)往常的澆筑任務(wù)，班長(zhǎng)違反安全規(guī)定，拆除了16-10層欲澆筑導(dǎo)墻周邊的安全防護(hù)欄桿。拆除之后形成了從16-10層共7層、高21m、長(zhǎng)3m、寬2m的天井。在完成澆筑任務(wù)后，班長(zhǎng)要求工人把天井蓋板蓋上再下班， 此時(shí)一名泥工因過(guò)度疲勞，勸班長(zhǎng)先下班明天再蓋蓋板， 于是班長(zhǎng)再次違反安全操作規(guī)程， 留著未蓋蓋板的天井，走上電梯， 準(zhǔn)備下班。 正在這時(shí)，一名未扣安全帽帶的安裝工人推著手推車邊跑邊喊班長(zhǎng)等他一起下班，但是上電梯，他拉車后退時(shí)，忽視了身后的天井，跌落其中。由于安全帽沒(méi)扣帽帶，墜入天井后的安裝工，安全帽先脫落，其后腦砸在了天井井底附近的墻壁凸起處，隨后落至安全網(wǎng)上，當(dāng)場(chǎng)死亡[17]。

4.2 原因分析

利用建立的新模型分析事故原因，如圖8。

圖8 屏障模型的事故原因分析Fig.8 The cause analysis by the barrier model

4.2.1 直接原因

物的不安全狀態(tài)：班長(zhǎng)違反安全規(guī)定，拆除了16-10層欲澆筑導(dǎo)墻周邊的安全防護(hù)欄桿，造成天井缺護(hù)欄；沒(méi)有護(hù)欄的天井應(yīng)蓋板，但員工因勞累未蓋，造成天井蓋板缺失。

人的不安全行為：安全意識(shí)淡薄，匆忙之時(shí)忽視了身后的無(wú)護(hù)欄、蓋板天井，拉車后退墜入天井。

4.2.2 間接原因—組織監(jiān)管問(wèn)題

（1）現(xiàn)場(chǎng)主要領(lǐng)導(dǎo)只管工作不顧安全：項(xiàng)目經(jīng)理向泥工班長(zhǎng)交代了比往常多一倍的工作任務(wù)，澆筑樓房第16-10層建筑導(dǎo)墻，且未交待安全注意事項(xiàng)。

（2）管理人員為了效率放棄安全：為了節(jié)省時(shí)間、完成超過(guò)往常的澆筑任務(wù)，班長(zhǎng)違反安全規(guī)定，拆除了16-10層欲澆筑導(dǎo)墻周邊的安全防護(hù)欄桿。

（3）管理人員安全管理不嚴(yán)格：班長(zhǎng)要求工人把天井蓋板蓋上再下班，由于員工疲勞未蓋蓋板，在班長(zhǎng)默許下，留著未蓋蓋板的天井就準(zhǔn)備下班。

（4）在如此危險(xiǎn)的工作場(chǎng)所，現(xiàn)場(chǎng)管理人員沒(méi)有給予事故當(dāng)事人都應(yīng)有的關(guān)注與提醒。

4.2.3 深層原因—不良安全文化問(wèn)題

發(fā)生事故的組織中的人員安全意識(shí)淡薄，安全價(jià)值觀低下，工作中沒(méi)有安全意識(shí)，更不要說(shuō)把安全當(dāng)作首要考慮的問(wèn)題：突然安排太多工作量，埋下事故隱患，上級(jí)領(lǐng)導(dǎo)只管生產(chǎn)不顧安全，給其下屬造成不良影響；下屬管理人員，為了節(jié)省時(shí)間，完成超量任務(wù)，違反安全規(guī)定拆除安全圍欄，造成了現(xiàn)場(chǎng)不安全狀態(tài)；收工后，由于員工疲憊未按要求蓋上蓋板，管理人員也聽(tīng)之任之，又埋下新的事故隱患；正是由于員工安全意識(shí)淡薄，在如此不安全的環(huán)境中，仍然疏忽大意，加之匆忙、著急，忙中出錯(cuò)，退落至天井中?？傊捎诮M織的安全文化不良，在該組織中無(wú)論領(lǐng)導(dǎo)干部、管理人員還是一線員工，安全意識(shí)淡薄，不把安全當(dāng)回事，對(duì)安全生產(chǎn)存在僥幸心理，從而造成大量安全監(jiān)管問(wèn)題出現(xiàn)，最終使得所有“人員屏障”、“硬件屏障”，層層失效，起不到防控作用，從而導(dǎo)致能量失控、事故發(fā)生。

4.3 模型釋義

縱向上：安全文化不良是導(dǎo)致屏障失去防控作用的源頭。組織的安全文化不良導(dǎo)致該組織在日常管理中不能正確處理安全生產(chǎn)與生產(chǎn)經(jīng)營(yíng)業(yè)務(wù)活動(dòng)的關(guān)系，致使整個(gè)組織范圍內(nèi)不重視安全生產(chǎn)工作，導(dǎo)致組織安全生產(chǎn)無(wú)人過(guò)問(wèn)，更沒(méi)有人放在心上，總之，不良的安全文化使得安全監(jiān)管方面出現(xiàn)了很多問(wèn)題。正是由于組織對(duì)安全生產(chǎn)工作的不重視，在安全上監(jiān)管的不作為或亂作為等，造成組織施工作業(yè)現(xiàn)場(chǎng)，人的不安全行為、物的不安全狀態(tài)大量出現(xiàn)，也即，所應(yīng)設(shè)置的很多“硬件屏障”如天井缺護(hù)欄、天井蓋板都不復(fù)存在，從而導(dǎo)致事故發(fā)生的可能性大大增加，最后僅存的人本能自我保護(hù)屏障在慌忙之中也出現(xiàn)了漏洞，就形成了能量或有害物質(zhì)失控的通路，屏障就失去了對(duì)能量或有害物質(zhì)的防控作用。

橫向上：能量或有害物質(zhì)是導(dǎo)致“受體（人、物、環(huán)境等）”遭受到損害的源頭。要避免事故發(fā)生，須使能量（人身的重力勢(shì)能）或有害物質(zhì)受控，為此應(yīng)設(shè)置相應(yīng)屏障，并使其發(fā)揮屏蔽作用，以確保能量到達(dá)應(yīng)到的地方發(fā)揮有效作用。相反，如果所設(shè)置屏障出現(xiàn)了問(wèn)題，就不能發(fā)揮其應(yīng)有作用。一般而言，每種能量或有害物質(zhì)都要一些防控屏障，由于監(jiān)管不到位等原因，會(huì)使大多數(shù)屏障失去作用，這種情況下，導(dǎo)致事故發(fā)生的可能性就會(huì)大大增加，如果最后一層屏障再失去作用，就會(huì)給能量的非正常流轉(zhuǎn)形成通道，從而造成能量的失控，導(dǎo)致事故的發(fā)生。在本例中，最先是硬件屏障失去作用（護(hù)欄拆除、蓋板未蓋），最后是軟件屏障出了問(wèn)題（沒(méi)有意識(shí)到附近沒(méi)有護(hù)欄或蓋板的天井而倒退跌入天井），由于所設(shè)置的每一道屏障都失去作用，就形成能量失控的通路，也即能量穿透所有屏障，導(dǎo)致能量失控，失控的能量（人身的重力勢(shì)能）作用在“受體（人）”上，造成當(dāng)事人死亡。

5 結(jié)論

（1）本模型簡(jiǎn)單、實(shí)用，在理論上解決了奶酪模型中的比喻問(wèn)題，在實(shí)際應(yīng)用上解決了因奶酪模型“任何屏障都有缺陷（漏洞）”而帶來(lái)的輕視屏障質(zhì)量的負(fù)面問(wèn)題，認(rèn)為凡有漏洞的屏障都不起作用，必須確保每道屏障的質(zhì)量，這對(duì)于日常的事故防控工作至關(guān)重要。

（2）本文首次提出了直接屏障、間接屏障概念，并把直接屏障限定為人員、硬件屏障，認(rèn)為模型中的屏障應(yīng)由直接屏障所組成，間接屏障為其背后的支撐，這樣就解決了不同層次屏障間功能重疊、數(shù)量重復(fù)的問(wèn)題，既科學(xué)合理，也符合客觀實(shí)際。同時(shí)，通過(guò)把硬件屏障添加到模型中去，彌補(bǔ)了奶酪模型中缺少對(duì)物的不安全狀態(tài)防控的缺陷。

（3）本模型與能量意外釋放論結(jié)合在一起，能量意外釋放論揭示了事故發(fā)生的內(nèi)因，本模型解釋了事故發(fā)生的外因，使得在事故致因理論方面更趨科學(xué)、合理。同時(shí)，本模型采用能量而非hazard（危害因素）作為事故源頭，不僅解決了奶酪模型中hazard外延寬泛的問(wèn)題，而且也解釋了能量意外釋放論未能說(shuō)明的能量失控的原因。

（4）在事故原因分析方面，本模型結(jié)構(gòu)簡(jiǎn)單、層次清晰，能夠科學(xué)地分析導(dǎo)致事故發(fā)生的致因物、直接原因、間接原因以及深層次原因，在事故原因分析方面具有獨(dú)特優(yōu)勢(shì)。在事故預(yù)防方面，首先在微觀技術(shù)層面，基于本模型對(duì)屏障質(zhì)量要求，提出了對(duì)出臺(tái)后、實(shí)施前的屏障進(jìn)行評(píng)審的建議，能夠有效提升屏障質(zhì)量，防止因其質(zhì)量差而造成隱患多發(fā)、不起作用等問(wèn)題，其次在宏觀策略層面，本模型揭示了安全文化建設(shè)對(duì)于事故防控的重大意義。